Chaque requête de Verification of Payee inclut un nom de bénéficiaire et un IBAN, et chaque réponse porte un résultat de vérification. C'est exactement le type de données qui doit être protégé en transit et derrière un contrôle d'accès fort. Traitez l'API VoP comme tout autre endpoint de paiement sensible.
Les contrôles fondamentaux
- Sécurité du transport : utilisez TLS, et mutual TLS (mTLS) là où le prestataire le prend en charge, pour que les deux côtés s'authentifient.
- Contrôle d'accès : client credentials OAuth ou jetons API à portée limitée, pas de secrets partagés à longue durée dans le code.
- Moindre privilège : des jetons limités aux seules opérations VoP dont vous avez besoin.
Protégez les clés, pas seulement les appels
La plupart des incidents d'API viennent d'identifiants divulgués, non d'une cryptographie cassée. Stockez les secrets dans un coffre-fort, faites-les tourner, et ne les committez jamais dans le contrôle de version.
Bonnes pratiques opérationnelles
- 1 Faites tourner les identifiants régulièrement et à toute exposition suspectée.
- 2 Restreignez l'accès par liste d'autorisation d'IP lorsque c'est possible.
- 3 Journalisez les accès et surveillez les schémas d'appels inhabituels.
- 4 Séparez complètement les identifiants de test et de production.
Une sécurité intégrée à l'API
L'API Verification of Payee de RoxPay prend en charge une sécurité moderne du transport et des accès, pour que votre intégration protège les données du bénéficiaire dès la conception, pas après coup.